Kilo 企业级 MCP 管控设计提案组织级 MCP 服务器白名单与受管配置机制【免费下载链接】kilocodeKilo is the all-in-one agentic engineering platform. Build, ship, and iterate faster with the most popular open source coding agent.项目地址: https://gitcode.com/GitHub_Trending/ki/kilocode导读本文是 Kiloall-in-one agentic engineering platform仓库内一份企业级 MCPModel Context Protocol管控方案的设计提案enterprise-mcp-controls.md的深度解读。文中完整保留了提案的 MVP 需求、系统设计、候选数据模型、API 面与实施计划并结合仓库中实际的 MCP 配置实现mcp.ts、Marketplace 安装机制marketplace.md与 VS Code 端 Marketplace 面板源码MarketplacePanelProvider.ts进行佐证。读完本文你将理解企业组织如何通过组织级 MCP 服务器白名单 仪表盘受管成员配置来约束开发者可用的 MCP 服务器以及该方案与 Kilo 现有本地 MCP 配置模型之间的关系与冲突点。{% callout typeinfo title文档状态声明 %} 本文所解读的原始文档是一份Proposal设计提案原始文档明确声明目前尚不存在与之匹配的组织级 MCP 白名单实现本文描述的 Schema、端点、仪表盘流程与客户端强制行为均为暂定tentative。因此文中的一切方案设计均指提案状态而非当前已发布的产品能力仓库中可验证的实现事实本地 MCP 配置模型、Marketplace 机制与提案内容需要区分看待。 {% /callout %}一、背景为什么组织需要管控 MCP 服务器1.1 MCP 在 Kilo 中的角色在 Kilo 中MCP 是扩展 AI Agent 能力的标准方式MCP 服务器为 Kilo 提供额外工具与资源使其能够访问数据库、自定义 API、执行浏览器操作等内置能力之外的任务见 MCP 概述。开发者可以配置两类 MCP 服务器Marketplace 服务器从 Kilo Marketplace 安装的精选 MCP 服务器。Marketplace 条目本质上是配置与指令文件而非 VS Code 扩展安装后写入项目级或全局级配置文件见 Marketplace 指南。自定义服务器custom servers开发者在本地配置文件中手工声明的 MCP 服务器。1.2 提案要解决的痛点原始文档明确指出核心矛盾开发者可以自由配置 MCP 服务器但企业客户可能需要组织策略来规定其开发者可以使用哪些 MCP 服务器。一个未受管控的 MCP 服务器可能暴露读取数据、修改外部系统或执行本地操作的工具Marketplace 文档中的安全说明也强调本地 MCP 服务器会在你机器上以子进程运行命令远程 MCP 服务器会向外部服务发送请求见 marketplace.md。因此该提案引入两项核心机制组织管理的已批准 Marketplace MCP 服务器白名单organization-managed allowlist仪表盘管理的成员配置dashboard-managed member configuration。再次强调这是一份设计文档描述的是目标架构而非当前已实现的架构。二、MVP 需求仪表盘与客户端两侧的职责2.1 Dashboard 应用侧需求原始文档为仪表盘应用规划了以下需求为组织管理员提供一个MCP 策略专区dashboard section for MCP policy展示 Marketplace MCP 服务器列表并允许管理员勾选已批准条目默认策略为禁用default policy to disabled。一旦启用策略默认先保持 Marketplace MCP 服务器全部选中避免意外中断unexpected disruption将白名单变更记录到审计日志audit logs允许组织成员在仪表盘中配置已批准的服务器。这里的默认禁用 启用时先全选设计思路值得注意它把策略启用与白名单收紧两个动作解耦确保组织在开启管控的第一时间不会因误配置而中断所有 MCP 工具。2.2 客户端行为侧需求客户端Kilo Code 各平台前端在策略启用与否两种状态下行为不同策略状态客户端行为策略禁用保持现有本地 MCP 行为不变继续读取本地配置文件策略启用用仪表盘受管配置scoped to organization and member即按组织 按成员替换本地 MCP 配置策略启用不激活、不使用被禁止的本地 MCP 条目do not activate or use disallowed local MCP entries策略启用若客户端仍检测到被禁止的本地条目可展示非阻塞式策略提示non-blocking policy feedback这些条目不必作为可激活的 MCP 选项出现策略启用将扩展 Marketplace 配置 UI 替换为指向仪表盘的链接replace extension marketplace configuration UI with link to dashboard原始文档特别强调要区分两个独立问题被策略拒绝的本地条目不需要被激活与仪表盘受管配置替换本地配置仅在策略启用时才是提案行为。2.3 结合源码看现有配置模型的含义提案中保留现有本地 MCP 行为 / 替换本地 MCP 配置的措辞对应的正是仓库中现存的 MCP 配置模型。Kilo 核心包中的配置 Schema 定义了 MCP 服务器的完整字段packages/core/src/config/mcp.ts// ConfigV2.MCPpackages/core/src/config/mcp.ts节选 export class Local extends Schema.ClassLocal(ConfigV2.MCP.Local)({ type: Schema.Literal(local), command: Schema.String.pipe(Schema.Array), // 启动 MCP 服务器的命令与参数 cwd: Schema.String.pipe(Schema.optional), // 工作目录相对路径基于 workspace 解析 environment: Schema.Record(Schema.String, Schema.String).pipe(Schema.optional), disabled: Schema.Boolean.pipe(Schema.optional), timeout: Timeout.pipe(Schema.optional), // startup / request 两段超时毫秒 }) {} export class Remote extends Schema.ClassRemote(ConfigV2.MCP.Remote)({ type: Schema.Literal(remote), url: Schema.String, headers: Schema.Record(Schema.String, Schema.String).pipe(Schema.optional), oauth: Schema.Union([OAuth, Schema.Literal(false)]).pipe(Schema.optional), disabled: Schema.Boolean.pipe(Schema.optional), timeout: Timeout.pipe(Schema.optional), }) {}v1 配置模型packages/core/src/v1/config/mcp.ts则给出更细的注解timeout默认 5000ms、OAuthcallbackPort默认 19876、redirectUri默认http://127.0.0.1:19876/mcp/oauth/callback且env可作为environment的别名在输入层归一化。这些字段正是本地 MCP 配置的实际载体——提案中的替换本地 MCP 配置在实现层面即意味着客户端在策略启用时不再从这些用户级/项目级文件加载服务器定义。Marketplace 侧安装一个 MCP 服务器会在mcp键下新增条目而不会覆盖其他 Kilo 设置落盘位置为安装范围落盘位置项目级Project.kilo/kilo.json全局Global~/.config/kilo/kilo.json见 marketplace.md。提案中组织策略启用时以仪表盘受管配置替换基于最终用户文件系统的定义正是针对这一落盘机制的重定向。而 VS Code 端的 Marketplace 面板MarketplacePanelProvider.ts则是提案中仪表盘 MCP 策略专区在扩展侧被替换/链接的现有 UI 参照物。三、系统设计当前流程与策略启用流程对比3.1 当前 MCP 配置流程Todays world如上图所示当前世界中组织用户Org User发起请求后构建提示Build prompt环节会触发从活跃 MCP 服务器获取工具Get tools from active MCP servers工具列表来自各 MCP 服务器的/api/tools/list而 MCP 服务器配置则加载自两个文件项目级 mcp.json与全局级 mcp.json。这正是第一节中 v1/v2 配置模型与 Marketplace 落盘规则共同描绘的本地配置形态。3.2 启用企业策略后的配置流程策略启用后流程发生关键变化项目级与全局级 mcp.json不再作为工具获取的配置来源图中以红叉标注改为由Kilo 后端提供仪表盘受管配置。原始文档对此的总结是当组织策略启用时客户端拉取仪表盘受管配置而不是使用最终用户文件系统中的定义策略禁用的组织保持现有本地行为。四、候选 Schema 与数据模型{% callout typewarning title暂定设计声明 %} 以下 Schema 尚未发布。命名、存储布局、加密方式与 API 形态在实现评审过程中都可能变化原文明确声明。请勿将下文视为已交付的接口契约。 {% /callout %}4.1 组织设置白名单策略组织设置Organization settings可以承载白名单策略候选形态为const OrganizationSettings_MCPControls z.object({ mcp_controls_enabled: z.boolean().optional(), mcp_controls_allowed_marketplace_servers: z.string().optional(), })mcp_controls_enabled布尔值表示组织级 MCP 管控是否启用对应 MVP 中默认禁用的策略开关mcp_controls_allowed_marketplace_servers字符串字段承载已批准的 Marketplace MCP 服务器白名单。提案将类型暂定为z.string()具体是逗号分隔、JSON 还是数组形态留待实现评审确定。4.2 仪表盘受管的成员配置加密存储成员配置可能涉及 API Key、令牌、连接串等敏感信息提案设计为加密存储encrypted storage候选表结构create table if not exists organization_member_mcp_configs ( id uuid not null default uuid_generate_v4(), organization_id uuid not null references organizations(id), kilo_user_id text not null references kilocode_users(id), config bytea not null, created_at timestamptz not null default now() )要点分析config bytea not null配置载荷以二进制类型存储为加密后的密文留出空间呼应加密成员配置的需求organization_id与kilo_user_id双外键实现按组织 按成员的配置隔离scoped to organization and member——同一成员在不同组织下的配置互不干扰id uuid ... uuid_generate_v4()与created_at timestamptz ... default now()提供稳定的配置主键与创建时间戳便于审计与追溯。4.3 成员配置载荷形态成员配置的载荷结构候选为const OrganizationMemberMCPConfig z .object({ mcp_id: z.string(), parameters: z.record(z.string(), z.string()) }) .array()即一个数组每个元素由mcp_id引用白名单中的 MCP 服务器与该服务器所需的parameters字符串到字符串的映射如环境变量、API Key 占位组成。数组形态天然支持一个成员为多个已批准服务器配置参数。五、候选仪表盘与 API 面原始文档以表格形式给出了候选的 API 与界面落点SurfaceProposed behavior提案行为/organizations/:id/mcp-control允许所有者管理白名单成员配置已批准的 MCP 服务器GET /api/marketplace/mcps获取 Marketplace MCP 列表供策略 UI 使用Organization settings API读取与更新启用状态与白名单Member MCP config API存储加密的已批准 MCP 配置原始文档特别注明这些路由与端点是实现设计的占位符并非已文档化的可用 API。GET /api/marketplace/mcps这类只读列表端点与第二节中仪表盘展示 Marketplace MCP 服务器并让管理员勾选的 MVP 需求一一对应。六、实施范围与计划原始文档给出的实施分工如下领域提案工作后端Backend新增策略 Schema、加密成员配置存储、审计日志以及组织/成员 API仪表盘Dashboard新增管理员白名单 UI 与成员配置 UI客户端Client拉取策略启用配置、忽略被禁止的本地条目、链接到仪表盘配置三块工作与 MVP 需求章节形成闭环后端提供策略与存储、仪表盘提供交互入口、客户端负责强制enforcement。结合仓库现有结构后端工作大概率落在核心包如 packages/core/src/config/mcp.ts 旁的配置/数据库模块与云端后端packages/kilo-gateway 提供 API 网关能力的交界处客户端强制则对应 VS Code 扩展等前端在加载 MCP 配置时的拦截逻辑当前加载路径见 packages/core/src/config.ts 对ConfigMCP的汇聚导出。七、未来工作与边界原始文档列出的未来工作方向组织提供的自定义 MCP 服务器配置Marketplace 之外白名单机制第一阶段只覆盖 Marketplace 服务器组织自建/自托管的自定义服务器管控留待后续项目级 MCP 配置Project-level MCP configurations当前提案聚焦组织 成员两级作用域项目级作用域未纳入首版按用户、项目、MCP 服务器分组的工具调用审计报告Tool-call audit reports在审计日志记录白名单变更的基础上进一步细化到工具调用维度的审计能力。这些方向也界定了提案的边界首版只管控 Marketplace MCP 服务器的可用性不涉及自定义服务器的组织下发、项目级策略也不包含工具调用粒度的审计报表。八、从提案到实现的判断要点综合原始文档与仓库现状可以梳理出以下几点供评估该提案落地时的关键约束与现有配置模型的关系提案的策略启用即替换本地配置并不修改 mcp.ts 中 Local/Remote/OAuth 的字段模型而是改变配置来源层——从用户文件系统重定向到仪表盘受管配置。因此现有 Schema 与 Marketplace 落盘机制.kilo/kilo.json/~/.config/kilo/kilo.json均可保留。默认值与平稳过渡策略默认禁用 启用时先全选 Marketplace 服务器保证组织在切换管控时不会出现工具突然全部消失的破坏性体验。安全设计优先级成员配置必须加密存储bytea字段 加密方案且白名单变更必须进入审计日志这两点与 Marketplace 文档中凭据勿入版本控制的安全建议marketplace.md一脉相承。客户端体验被拒本地条目非阻塞提示 不作为可激活选项的设计兼顾了管控严格性与开发者可感知性Marketplace 配置 UI 在策略启用时替换为仪表盘链接避免开发者绕过策略在本地添加未批准服务器。需要再次强调以上均为设计提案内容。仓库中目前可以确证的是本地 MCP 配置模型与 Marketplace 机制见 mcp.ts、marketplace.md 与 MarketplacePanelProvider.ts而组织级白名单、加密成员配置存储与相关 API 属于提案规划尚未在仓库中形成对应实现。相关文档与源码导航提案原文enterprise-mcp-controls.mdMCP 配置模型v2packages/core/src/config/mcp.tsMCP 配置模型v1packages/core/src/v1/config/mcp.tsMarketplace 安装机制packages/kilo-docs/pages/customize/marketplace.md、packages/kilo-vscode/src/MarketplacePanelProvider.tsMCP 使用指南packages/kilo-docs/pages/automate/mcp/overview.md方案对比图packages/kilo-docs/public/img/enterprise-mcp-controls-today.png、packages/kilo-docs/public/img/enterprise-mcp-controls-with-ent-control.png【免费下载链接】kilocodeKilo is the all-in-one agentic engineering platform. Build, ship, and iterate faster with the most popular open source coding agent.项目地址: https://gitcode.com/GitHub_Trending/ki/kilocode创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考